ルックアップの管理

多くの場合、ログには、分析を統合するために必要なすべての情報が含まれるわけではありません。このような場合、ログのデータをよりわかりやすくするために、すでに照合した情報を取得するためのルックアップ表を作成できます。たとえば、ログ・イベントのError IDフィールドには、エラーの説明がありません。Error IDを説明にマップするルックアップを作成し、フィールド・エンリッチメント・オプションを使用してその説明をログ・レコードの検索で使用可能にできます。ルックアップを作成できるシナリオの例:

• 製品在庫: 製品ID、技術仕様、価格、利用可能在庫、ラック番号
• 従業員情報: 従業員ID、個人情報、組織、職務、階級、給与、管理者
• ライブラリ参照: タイル、作成者、サマリー、エディション、前のエディション、価格

主に、ソース参照関数を使用して、取込み時に単純な参照を使用できます。「ソースでの収集時参照の使用」を参照してください。

次に示すように、問合せ時に単純な参照を使用することもできます。

次のlookup問合せでは、Error IDフィールドをマップすることでルックアップ表ORA Error Messagesからエラー・メッセージが取得され、Log SourceやEntityなどの他のフィールドとともにサマリー表に表示されます:

'Error ID' like 'ORA%' | lookup table = 'ORA Error Messages' select errmsg using 'Error ID' = errid | fields -*, 'Log Source', Entity, errmg

• ログからの情報:
  • Error ID: ORA%の形式で指定された、ログに含まれるエラーID
  • Log Source: ログのログ・ソース
  • Entity: ログのエンティティ
• Oracle定義のルックアップ表ORA Error Messagesからの情報:
  • errid: ORA%の形式で指定されたエラーID
  • errmsg: エラーIDに対応するエラー・メッセージ

  ORA Error Messagesルックアップ表で使用可能なその他の詳細は、各エラーIDのerrcause (エラーの原因)およびerraction (エラー・アクション)です。ルックアップ表の内容を表示するには、次のようにsearchlookupコマンドを使用します:

  * | searchlookup table = 'ORA Error Messages'

1. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「Log Analytics」で、「管理」をクリックします。

2. 管理リソースが、左側のナビゲーション・ペインにある「管理」の下にリストされます。「ルックアップ」をクリックします。

3. 「ルックアップ」で、詳細を表示するルックアップをクリックします。

   ルックアップの詳細ページに、作成中に指定した詳細と、ルックアップ表の内容が表示されます。「リソースの移動」、「タグの追加」、「削除」などのアクションを実行することもできます。これらのアクションの詳細については、次のセクションを参照してください。

ルックアップで他のアクションを実行するには、「ルックアップ」リスト・ページで、ルックアップの「コンパートメント」、「タイプ」および「作成タイプ」を選択し、検索バーでルックアップの検索を絞り込みます。タグ・フィルタを含めると、タグでルックアップをフィルタすることもできます。ルックアップを識別した後、ルックアップの行で「アクション」アイコンをクリックします。

• ファイルの再アップロード: ユーザーが作成した参照の場合、新しいバージョンの参照表がある場合、または前回のアップロードに失敗した場合は、再アップロードできます。

• 削除: 古い参照または未使用の参照の一部を削除する必要がある場合があります。ルックアップを削除するには、「ルックアップの削除」ダイアログ・ボックスで確認します。参照を削除できるのは、ユーザーが作成している場合のみです。

• OCIDのコピー: 参照リソースのOCIDがコピーされます。これを使用して、Oracle Cloud Infrastructure内の任意の場所でこのリソースを参照できます。
• ソースの移動: 「別のコンパートメントへのリソースの移動」ダイアログ・ボックスが表示されます。オプションで、ルックアップを移動するコンパートメントを選択し、「リソースの移動」をクリックします。
• タグの追加: Log Analyticsリソースへのタグの追加を参照してください。

1. フィールドと値の組合せでCSVファイルを更新します。

2. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「Log Analytics」で、「管理」をクリックします。

3. 管理リソースが、左側のナビゲーション・ペインにある「管理」の下にリストされます。「ルックアップ」をクリックします。

4. 「ルックアップ」で、更新するルックアップに対応する行の「アクション」アイコンをクリックし、「ファイルを再アップロード」をクリックします。

   「ファイルを再アップロード」ダイアログ・ボックスが開きます。

5. 前に作成した更新済のルックアップCSVファイルを選択し、「アップロード」をクリックします。

簡易ルックアップを作成した後、searchlookupコマンドを使用して問合せを実行し、ルックアップの値をリストします。問合せでlookupコマンドを使用して、出力フィールドをそれらの値にマップします。

1. フィールドと値の組合せでルックアップCSVファイルを作成します。たとえば、エラーIDを説明にマップするルックアップを作成するには:

   errid,description
   02323,Network Not Reachable
   09912,User Activity
   12322,Out of Memory

   最初の行が、後続の行の値に対するerridおよびdescriptionというタイトルのヘッダーになることに注意してください。

2. ナビゲーション・メニューを開き、「監視および管理」をクリックします。「Log Analytics」で、「管理」をクリックします。

3. 管理リソースが、左側のナビゲーション・ペインにある「管理」の下にリストされます。「ルックアップ」をクリックします。

   参照リスト・ページが表示されます。左側のナビゲーション・ペインから、ルックアップを作成する必要があるコンパートメントを選択します。

4. 「ルックアップ」で、「ルックアップの作成」をクリックします。

5. 「ルックアップの作成」ページで、server error code lookupsなどのルックアップ名と、オプションの説明を入力します。

6. 「タイプ」で、「簡易」を選択します。

7. 前に作成したルックアップCSVファイルを選択します。

8. オプションで、「拡張オプションの表示」セクションを展開し、参照にタグを追加します。「作成」をクリックします。

ディクショナリ・タイプ・ルックアップの作成後、searchlookupコマンドを使用してルックアップをリストします。問合せでlinkまたはclusterコマンドを使用した後にのみ、lookupコマンドを使用して任意の問合せでフィールドにマップします。

Operator,Condition,Network Name
CIDRMATCH,192.0.2.10/24,Database Network

Operator,Condition,Label,Module
# ----------------------------------
# Startup/Shutdown and Terminations
# ----------------------------------
CONTAINS,Server started in RUNNING mode,Server Started,WebLogic Server
CONTAINS,A critical service failed. The server will shut itself down,Server Shutdown,WebLogic Server
CONTAINS,state changed to FAILED,Server Failed,
CONTAINS,Removing .* from cluster view due to PeerGone,Cluster Removed,WebLogic Server
# ----------------------
# Connection Error / Timeouts and Slowness
# ----------------------
CONTAINS,Unable to connect to WSM policy manager,WSM Policy Manager Connection Error,
CONTAINS REGEX,java.sql.SQLTimeoutException: \S+: user requested cancel of current operation,SQL Timeout,Database
CONTAINS,This member is running extremely slowly and may endanger the rest of the cluster,WebLogic Cluster Slowness,WebLogic Server

同じディクショナリを複数の問合せで使用できます。たとえば、次の問合せでは、同じディクショナリがMessageフィールドに適用され、円グラフのビジュアライゼーションを使用してロールアップされた結果が表示されます:

'Log Source' = 'Linux Syslog Logs'
| lookup table = 'Linux Error Categories' select Issue, Area using Message
| stats count by Area

個々のリソース・タイプ: loganalytics-lookup

集約リソース・タイプの一部: loganalytics-features-family

ファミリ・ポリシーが定義されていない場合のリソース・ポリシー・ステートメント:

前述のポリシー・ステートメントで、必要なスコープ(テナンシまたはコンパートメント)を持つルックアップ・リソースに対する権限を制限するには、リソース・タイプ・ファミリおよびより大きなスコープをカバーする他のポリシー・ステートメントが存在してはならないことに注意してください。

loganalytics-lookupのIAMポリシーを作成するときに、各動詞で次の操作を実行できます:

通常、管理者のみが参照を作成または削除するためのUSEおよびMANAGE権限を持ちます。ルックアップ問合せを実行する権限が必要な場合は、READ権限が必要です。

参照リソースの権限をカバーするファミリ・ポリシー・ステートメントの集計:

通常、管理者のみが参照を作成または削除するためのUSEおよびMANAGE権限を持ちます。ルックアップ問合せを実行する権限が必要な場合は、READ権限が必要です。

すでにログ・エクスプローラ、SDKまたはCLIを使用して問合せを実行している場合は、既存のOracle定義およびユーザー作成参照でsearchlookupまたはlookup問合せコマンドを実行するために必要な権限がすでにあります。

インスタンス・プリンシパルを使用して問合せを実行する場合は、動的グループへのloganalytics-features-familyアクセス権をまだ提供していない場合に、次の権限を指定します。

Allow dynamic-group <dynamic-group-name> to {LOG_ANALYTICS_LOOKUP_READ} in tenancy

または

Allow dynamic-group <dynamic-group-name> to {LOG_ANALYTICS_LOOKUP_READ} in compartment <compartment_name>